作者:樊國楨1、2、徐鈺宗1、楊仲英3、李孝詩1

為落實資訊安全保證之標的，美國管理與預算辦公室(Office of Management and Budget，簡稱OMB)自2000 年起，每年公布其資訊安全評鑑報告。美國國家標準與技術研究院(National Institute of Standards and Technology，簡稱NIST)等機構已頒布資訊系統安全自我評鑑指引、聯邦資訊系統安全驗證與認證指導綱要等文件，堅實OMB 之稽核工作。本文研析美國聯邦政府資訊安全管理稽核作業的內涵，並探討已頒布及正訂定之美國聯邦政府根基於共同準則的驗證與認證作業概要以及發展。

結論:

保護資訊資產之安全，已成為當今數位空間的共識，亦為民主法制國家、社會與
人民必備之素養。然而，人性本非全然良善，監守自盜損害資訊資產、木馬藏兵入侵
資訊系統等事件，所在多有如何確保：「在資訊之處理作業中，經由確認資訊與資訊
系統可用性、完整性、鑑別性、機密性及不可否認性來保護、偵測以及反應能量以提
供資訊系統損害後的復原」的資訊保證標的之達成已成為數位空間安全的基礎建設之
礎石。
美國自2000 年起，正式開始評鑑資訊安全評鑑工作，並規劃確實可行之C&A 過
程方法，預定於2005 年在聯邦政府正式實施。美國C&A 過程計畫已提出了資訊安全
管理系統稽核作業中，IT 系統驗證與認證實作及評鑑之框架，C&A 過程計畫根基於威
脅與資產之分類與分級。表4.1 與圖4.1 分是C&A 計畫中潛在影響之分級定義【1】及
作業過程【12】，C&A 計畫的評鑑準則已成為ISO 據以制定運行中資訊系統安全評鑑
國際標準的重要參考資料【2】。

潛在影響 安全目標 低度 中度 高度 機密性
保存對資訊存取與公
開經授權的限制，包
括保護個人隱私及私
有資訊。 未經授權的資訊公開
可能會對組織營運、
組織資產或個人有有
限的有害效果。 未經授權的資訊公開
可能會對組織營運、
組織資產或個人有嚴
重的有害效果。 未經授權的資訊公開
可能會對組織營運、
組織資產或個人有劇
烈的或災難性的有害
效果。 完整性
保衛資訊不被不適當
的修改或破壞，包括
確保資訊的不被拒絕
與可信賴性。 未經授權的資訊修改
或破壞可能會對組織
營運、組織資產或個
人有有限的有害效
果。 未經授權的資訊修改
或破壞可能會對組織
營運、組織資產或個
人有嚴重的有害效
果。 未經授權的資訊修改
或破壞可能會對組織
營運、組織資產或個
人有劇烈的或災難性
的有害效果。 可用性
確保及時與可信賴的
資訊存取與使用 資訊或資訊系統的存
取或使用遭到瓦解可
能會對組織營運、組
織資產或個人有有限
的有害效果。 資訊或資訊系統的存
取或使用遭到瓦解可
能會對組織營運、組
織資產或個人有嚴重
的有害效果。 資訊或資訊系統的存
取或使用遭到瓦解可
能會對組織營運、組
織資產或個人有劇烈
的或災難性的有害效
果。資訊安全管理系統之標的在於：「從確保資訊資源的合法存取，到在所有可能
遭受資訊攻擊之階段，提供完整、未中斷的資訊系統運行」。稽核是維持與改善資訊
安全管理系統有效性之關鍵，「他山之石，可以攻錯」，本文簡析美國聯邦資訊安全
管理系統稽核作業的框架供相關人士參考。我國開始關心資訊安全管理系統之稽核作
業，時間為短、經驗的累積不多，許多應建立的價值、觀念與制度，大家都還在摸索
之中。在這樣的環境下，如何因應我國民生息息相關之資訊基礎建設的資訊安全管理
系統稽核作業之議題，實應展開更深入的思考及討論。身為數位時代之一員，我們不
要辜負了這個全民參與建立資訊社會安全典範的機會。本文之淺見，是我們對資訊安
全管理系統稽核作業繳出的一份學習報告，尚望先進宏達不吝指正。

3